🇰🇷 한글 설명
Drupal의 PHPlist Integration Module 6.x-1.7 이전 버전에서 SQL 인젝션 취약점이 존재합니다. 원격 관리자가 지정되지 않은 벡터를 통해 phpList 데이터베이스와 관련하여 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
Drupal에서 PHPlist를 연결하는 모듈에 보안 결함이 있어서, 관리자 권한을 가진 공격자가 데이터베이스에 직접 악의적인 명령을 내릴 수 있습니다. 이를 통해 민감한 데이터를 탈취하거나 시스템을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the PHPlist Integration Module before 6.x-1.7 for Drupal allows remote administrators to execute arbitrary SQL commands via unspecified vectors, related to the "phpList database."
📍 영향받는 시스템
Drupal PHPlist Integration Module 6.x 이전 6.x-1.7 (6.x-1.6 및 그 이전 버전)
⚔️ 공격 벡터
원격 관리자가 모듈의 인증되지 않은 입력 필드에 SQL 페이로드를 삽입하여 데이터베이스 명령 실행
🛡️ 대응 방법
PHPlist Integration Module을 6.x-1.7 이상으로 업그레이드하고 입력 검증 및 prepared statements 적용
🔧 검증 코드
설치된 PHPlist 모듈의 버전을 확인하여 6.x-1.7 이상인지 확인합니다. 1.7 미만이면 취약한 상태입니다.
drush pm-info phplist 2>/dev/null | grep -E 'Version|Status'